WO2011072532A1 - 报文处理方法、接入设备和通信系统 - Google Patents

报文处理方法、接入设备和通信系统 Download PDF

Info

Publication number
WO2011072532A1
WO2011072532A1 PCT/CN2010/075786 CN2010075786W WO2011072532A1 WO 2011072532 A1 WO2011072532 A1 WO 2011072532A1 CN 2010075786 W CN2010075786 W CN 2010075786W WO 2011072532 A1 WO2011072532 A1 WO 2011072532A1
Authority
WO
WIPO (PCT)
Prior art keywords
port
network
access device
packet
virtual
Prior art date
Application number
PCT/CN2010/075786
Other languages
English (en)
French (fr)
Inventor
黄斌
颜志勇
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP10836969.5A priority Critical patent/EP2512075B1/en
Publication of WO2011072532A1 publication Critical patent/WO2011072532A1/zh
Priority to US13/526,068 priority patent/US8848708B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/58—Association of routers
    • H04L45/586—Association of routers of virtual routers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Definitions

  • the embodiments of the present invention relate to the field of communications technologies, and in particular, to a packet processing method, an access device, and a communication system.
  • VRRP Virtua Router Redundancy Protocol
  • multiple routers elect the mas ter router by priority. Only the primary router can send VRRP>3 ⁇ 4 text. Other backup routers are forbidden to send VRRP packets.
  • the primary router receives a VRRP packet with a higher priority than its own, it changes from the primary state to the standby state, no longer sends VRRP>3 ⁇ 4 text, and discards all destination media access control (Media Acces s Control; cartridge: MAC)
  • the address is a packet of the virtual router MAC address.
  • VRRP only needs to run on the router. When the host is aggregated by the access device to the router, the access device takes the slave router. On the inbound port, VRRP packets are sent to the egress port of the connected host.
  • the VRRP packets are not received by the inbound and outbound ports.
  • the VRRP packet from the ingress port of the connected router is used as an ordinary service packet.
  • the outgoing port of the connected host directly forwards each Internet user on the user side, that is, the host.
  • the Internet user can change the priority of the VRRP packet to the maximum and then send it to the network.
  • the VRRP after the user changes the priority can change the real master router from the primary state to the primary state. In the standby state, the service packets are not forwarded, which interrupts the service of the Internet users under the entire virtual router and affects network security.
  • the embodiments of the present invention provide a packet processing method, an access device, and a communication system, which are used to solve the problem that a user receives a VRRP packet to affect network security and service operation, enhance network security, and ensure normal operation of the service.
  • An embodiment of the present invention provides a packet processing method on an access device, including: an access device receives a multicast packet on a network side by using a first network port of the access device; The protocol type of the broadcast message; if the multicast message is identified as a virtual routing redundancy protocol packet, the virtual routing redundancy protocol packet is sent according to the listening port list used for the virtual routing redundancy protocol packet forwarding.
  • the virtual routing redundancy protocol sends the non-virtual routing redundancy protocol to the user side through the user port of the access device.
  • the embodiment of the present invention further provides an access device, including: at least two network ports, configured to connect to a network side device; a user port, configured to connect to the user terminal, an identification unit, configured to identify a protocol type of the multicast message received from the first network port, and a processing unit, configured to: when the multicast message is a virtual routing redundancy protocol message, Dispatching the virtual routing redundancy protocol according to the listening port list to the network side through the second network port; when the multicast message is a non-virtual routing redundancy protocol, the non-virtual The virtual routing redundancy protocol is sent to the user side by using the user port, where the listening port list records port information including the first network port and the second network port.
  • an access device including: at least two network ports, configured to connect to a network side device; a user port, configured to connect to the user terminal, an identification unit, configured to identify a protocol type of the multicast message received from the first network port, and a processing unit, configured to: when the multicast message is
  • the embodiment of the present invention further provides a communication system.
  • An access device where the access device is configured with a first network port and a second network port, where the access device is configured to receive, by using the first network port, a multicast message on the network side, and identify the multicast report. If the multicast packet is a virtual routing redundancy protocol packet, the virtual routing redundancy protocol packet is sent to the second network according to the listening port list. The port is sent to the network side. If the multicast packet is a non-virtual routing redundancy protocol packet, the non-virtual routing redundancy protocol packet is sent to the user side through the user port, where the listening port list is The port information including the first network port and the second network port is recorded.
  • the embodiment of the invention provides a packet processing method, an access device, and a communication system, and the listening port connected to the first router receives the VRRP packet, The VRRP packet is forwarded to the listening port connected to the second router. This prevents the access device from broadcasting VRRP packets to all users, saving network bandwidth. In addition, VRRP packets can be prevented from being detected by the user. High VRRP packets attack the router to enhance network security and ensure normal service running.
  • FIG. 1 is a schematic diagram of a network architecture in an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of a packet processing method according to an embodiment of the present invention
  • 3 is a flowchart of processing performed by an access device on a original forwarding record table in a packet processing method according to another embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of an access device according to an embodiment of the present invention.
  • FIG. 1 is a schematic diagram of a network architecture in an embodiment of the present invention, including an access device 11 and two routers.
  • Routers can form virtual routers.
  • the access device 11 is connected to the first router 12 through the port 14 (the first network port), and is connected to the second router 17 through the port 19 (the second network port).
  • the first router 12 can be a master router and can send VRRP packets.
  • the second router 17 can be a standby router and can receive VRRP packets.
  • the port connected to the virtual router on the access device is a listening port, such as port 14 and port 19 in FIG.
  • the virtual router means that some or all of the routers connected to the access device 11 form a virtual router when networking; the port connected to the user equipment is called a non-listening port, such as port 16.
  • An embodiment of the present invention provides a packet processing method, which provides a method for avoiding forwarding of a message from a listening port to a user port.
  • FIG. 2 is a schematic flowchart of a packet processing method according to an embodiment of the present disclosure, where the packet processing method includes:
  • Step 101 The access device receives the multicast packet from the network side by using the first network port.
  • the multicast message includes the multicast message whose destination address is the multicast group address and the broadcast message whose destination address does not point to the specific user.
  • ARP address resolution protocol
  • UDP User Datagram Protocol
  • IGMP Internet Group Management Protocol
  • Step 103 The access device identifies whether the protocol type of the multicast message is a VRRP packet, if it is VRRP>3 ⁇ 4 text, step 105 is performed, if it is not VRRP>3 ⁇ 4 text, step 107 is performed;
  • Step 105 The access device sends the received VRRP packet to the network side through the second network port according to the listening port list, so that the packet can reach the second router.
  • the port information of the listening port on the access device is recorded in the listening port list, including one or more of the port ID, the frame of the port on the access device, and the slot of the port on the access device.
  • the second network port here may be one or more listening ports, and the access device broadcasts the VRRP packet to other listening ports in the listening port list after receiving the stencil.
  • the access device can discard the VRRP packet.
  • Step 107 The access device sends the multicast packet of the non-VRRP packet to the user side through the user port.
  • the access device broadcasts the multicast packet to the user port.
  • the non-VRRP packets can be ARP packets, TCP/IP packets, UDP packets, and IGMP messages.
  • the listening port list in this embodiment may be saved in advance, and may also be updated in real time according to the connection status.
  • the first network port can also directly forward the VRRP packet to the second network port, and then the second network port sends the VRRP packet to the second router.
  • the first network port of the access device receives the VRRP packet from the network side. If the first network port is the listening port, the VRRP packet is sent to the upper layer network through the second network port according to the listening port list. Prevents the access device from broadcasting VRRP packets to all users, saving network bandwidth. It also prevents VRRP>3 ⁇ 4 text from being detected by users, and constructs high-priority VRRP>3 ⁇ 4 text to attack routers and enhance network security. To ensure the normal operation of the business. In addition, by preventing the automatic forwarding of service packets between the listening ports, the broadcast device can prevent broadcast storms when the access device cannot perform Layer 2 MAC address self-learning. , can make VRRP protocol run normally between multiple routers.
  • FIG. 3 is a flowchart of a process for processing an original forwarding record table by an access device in a packet processing method according to another embodiment of the present invention, including:
  • Step 201 Perform analysis on the received VRRP packet to obtain an analysis result.
  • the analysis result includes the virtual router IP, the virtual router medium access control address, the virtual local area network identifier, and the information of the port that receives the virtual routing redundancy protocol packet.
  • the analysis result can be represented by an analysis entry, that is, the analysis result of a VRRP packet is recorded as an entry in the analysis table;
  • Step 203 Determine whether the analysis result is consistent with the content recorded in the original forwarding table, and if yes, maintain the content recorded in the original forwarding table; if not, perform step 205.
  • Step 205 Update, according to the analysis result, a forwarding entry recorded in the original forwarding table, where the forwarding entry includes Layer 2 forwarding entries and Layer 3 forwarding entries.
  • the access device updates the Layer 2 forwarding entry according to the virtual router IP, the virtual router medium access control address MAC, the virtual local area network identifier VLAN, and the information of the port that receives the VRRP packet, and according to the virtual router MAC,
  • the VLAN and the information of the port that receives the VRRP packet are updated with the Layer 3 forwarding entry.
  • the Layer 2 forwarding entry can be a forwarding entry of the Layer 2 MAC address table.
  • the Layer 3 forwarding entry can be a Layer 3 ARP table. The entry.
  • the access device receives the virtual routing redundancy protocol packet and the address resolution protocol packet, the content of the original forwarding table is updated according to the address resolution protocol packet.
  • the access forwarding table when the access device receives the VRRP packet and the ARP>3 ⁇ 4 text, the access forwarding table can be updated according to the ARP packet. If the ARP packet is not received, the VRRP packet can be updated according to the received VRRP packet. Forwarding the record table to ensure the update of the Layer 3 forwarding entry, so as to ensure the real-time performance of the first router connected to the listening port of the access device, and forward the uplink service packet to the latest primary router; The ARP packet interval is much shorter, which can reduce the service interruption time, ensure the normal running of the service, and reduce the packet loss rate of the virtual router MAC address. When multiple routers perform VRRP load balancing networking, they can prevent access. The device cannot learn broadcast storms caused by Layer 2 MAC address entries and save bandwidth resources.
  • FIG. 4 is a schematic structural diagram of an access device according to an embodiment of the present invention.
  • the access device 40 may include: at least two network ports, configured to connect to a network side device; Port, used to connect to the user terminal.
  • the access device 40 may include: a first network port 31, an identification unit 34, a processing unit 32, and a second network port 33.
  • the identifying unit 34 is configured to identify a protocol type of the multicast >3 ⁇ 4 text;
  • the processing unit 32 is configured to send the virtual routing redundancy protocol packet to the network side through the second network port 33 according to the listening port list when the multicast packet is a virtual routing redundancy protocol packet;
  • the multicast packet is a non-virtual routing redundancy protocol packet
  • the non-virtual routing redundancy protocol packet is sent to the user side through the user port; where the listening port list record includes the first network port 31. And port information of the second network port 33.
  • the first network port 31 in this embodiment can be connected to the primary router, and the second network port 33 can be connected to the standby router.
  • the processing unit 32 is further configured to analyze the received virtual routing redundancy protocol packet, obtain an analysis entry, and determine whether the analysis entry is consistent with the content recorded in the original forwarding table, and if yes, maintain the The content recorded in the original forwarding table; if not, the content recorded in the original forwarding table is updated according to the analysis table entry.
  • the processing unit 32 is further configured to: when the multicast text is an address resolution protocol, update the content recorded in the original forwarding table according to the address resolution protocol message.
  • the access device After receiving the VRRP packet from the first router, the access device can forward the VRRP packet to the other listening port according to the listening port list, which prevents the access device from broadcasting the VRRP packet to all users. Network bandwidth; VRRP packets can be prevented from being detected by the user. The VRRP packets with high priority are used to attack the router to enhance network security and ensure normal service.
  • An embodiment of the present invention provides a communication system, where the system includes an access device, where the access device is provided with a first network port and a second network port;
  • the access device is configured to receive the multicast packet on the network side by using the first network port, and identify the protocol type of the multicast packet. If the multicast packet is a VRRP packet, according to the listening port list. Sending the VRRP packet to the network side through the second network port; if the multicast packet is a non-VRRP packet, sending the non-VRRP packet to the user side through the user port, where The listening port list records port information including a first network port and a second network port. Further, the access device is further configured to: if the VRRP packet and the ARP packet are received at the same time, update the content recorded in the original forwarding table according to the ARP packet.
  • the access device receives the VRRP packet from the network side, and the second network port can forward the VRRP packet to the network side.
  • the first network port and the second network port are listening ports, which can prevent the access device from being VRRP packets are broadcast to all users to save network bandwidth.
  • VRRP packets can be prevented from being detected by users.
  • VRRP packets with high priority are used to attack routers to enhance network security and ensure normal service.
  • the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

报文处理方法、 接入设备和通信系统 本申请要求于 2009 年 12 月 18 日提交中国专利局、 申请号为 200910260629.9、 发明名称为"报文处理方法、接入设备和通信系统 "的中国专利 申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明实施例涉及通信技术领域， 特别涉及一种报文处理方法、 接入设备 和通信系统。
背景技术
在网络应用中， 为了与不同网段的网络进行通讯， 主机需要设置默认网关， 本网段的所有报文通过默认网关才能转发到其他网段。 当网关发生故障时， 整 个主机和外部网络的通讯都会中断。 在虚拟路由冗余协议（ Virtua l Router Redundancy Protocol ; 简称： VRRP ) 中， 则不需要改变组网情况， 也不需要在 主机上做任何配置， 仅在相关路由器上配置极少的几条命令， 就可以实现下一 跳网关的备用， 且不会给主机带来负担。 与其他方法相比， VRRP具有配置简单、 管理方便、 无需主机增加额外支持等优点。
在 VRRP应用过程中， 多台路由器通过优先级选举出主（mas ter )路由器， 只有主路由器可以发送 VRRP>¾文， 其他的备用 （backup )路由器禁止发送 VRRP 报文。 当主路由器收到优先级比自己更高的 VRRP报文后， 从主状态改变为备用 状态， 不再发送 VRRP>¾文、 并且丢弃所有目的介质访问控制 （Media Acces s Control ; 筒称： MAC )地址是虚拟路由器 MAC地址的数据包。 VRRP只需在路由器 上运行， 当主机由接入设备汇聚到路由器上时， 接入设备把来自连接路由器的 入端口 VRRP报文作为普通的业务报文向连接主机的出端口进行发送， 不对入端 口和出端口进行限制， VRRP才艮文可以被上网用户收到。 现有技术中， 在接入设备下行转发方向， 由于 VRRP报文的目的 MAC地址是 组播地址， 接入设备釆用组播方式把来自连接路由器的入端口的 VRRP报文作为 普通的业务报文向连接主机的出端口直接转发用户侧的各个上网用户， 即主机。 上网用户接收到 VRRP报文后， 可以将 VRRP报文的优先级修改为最大， 然后向 网络侧发送， 而上网用户修改优先级后的 VRRP才艮文可以使真正的主路由器从主 状态改变为备用状态， 不再转发业务报文， 从而使整个虚拟路由器下的上网用 户业务中断， 影响网络安全。
发明内容 本发明实施例提供一种报文处理方法、 接入设备和通信系统， 用以解决用 户接收到 VRRP报文影响网络安全和业务运行的问题， 增强网络安全性， 保证业 务的正常运行。 本发明实施例提供一种接入设备上的报文处理方法， 包括： 接入设备通过所述接入设备的第一网络端口接收网络侧的多播报文； 所述接入设备识别所述多播报文的协议类型； 如果识别到所述多播报文为虚拟路由冗余协议报文， 则根据用于虚拟路由 冗余协议报文转发的侦听端口列表将所述虚拟路由冗余协议报文通过所述接入 设备的第二网络端口发送给网络侧， 其中， 所述侦听端口列表记录有包括第一 网络端口和第二网络端口的端口信息； 如果识别到所述多播 文为非虚拟路由冗余协议 文， 则将所述非虚拟路 由冗余协议^艮文通过所述接入设备的用户端口发送给用户侧。 本发明实施例又提供一种接入设备， 包括： 至少两个网络端口， 用于连接网络侧设备； 用户端口， 用于连接用户终端； 识别单元， 用于识别从第一网络端口接收的多播报文的协议类型； 处理单元， 用于在所述多播报文为虚拟路由冗余协议报文时， 根据侦听端 口列表将所述虚拟路由冗余协议才艮文通过第二网络端口发送到网络侧； 在所述 多播^¾文为非虚拟路由冗余协议"¾文时， 将所述非虚拟路由冗余协议 文通过 所述用户端口发送到用户侧； 其中， 所述侦听端口列表记录有包括第一网络端 口和第二网络端口的端口信息。 本发明实施例还提供一种通信系统， 包括接入设备， 所述接入设备上设置 有第一网络端口和第二网络端口； 所述接入设备， 用于通过第一网络端口接收网络侧的多播报文； 识别所述 多播报文的协议类型， 如果所述多播报文为虚拟路由冗余协议报文， 则根据侦 听端口列表将所述虚拟路由冗余协议报文通过第二网络端口发送到网络侧； 如 果所述多播报文为非虚拟路由冗余协议报文， 则将所述非虚拟路由冗余协议报 文通过用户端口发送到用户侧， 其中， 所述侦听端口列表记录有包括第一网络 端口和第二网络端口在内的端口信息。 本发明实施例提供了报文处理方法、 接入设备和通信系统， 与第一路由器 连接的侦听端口接收 VRRP报文， 将 VRRP报文转发到与第二路由器连接的侦听 端口， 从而防止接入设备将 VRRP报文向所有用户广播， 节约网络带宽； 进而可 以防止 VRRP报文被用户侦听到， 而构造优先级高的 VRRP报文对路由器进行攻 击， 增强网络安全性， 保证业务的正常运行。
附图说明 图 1为本发明实施例中的网络架构示意图； 图 2为本发明一个实施例提供的报文处理方法的流程示意图； 图 3为本发明另一个实施例提供的报文处理方法中接入设备对原转发记录 表的处理的流程图；
图 4为本发明一个实施例提供的接入设备的结构示意图。
具体实施例
下面通过附图和实施例， 对本发明的技术方案做进一步的详细描述。
图 1为本发明实施例中的网络架构示意图， 包括接入设备 11和两个路由器 , 本领域普通技术人员可以知悉， 这里的也可以是一个路由器或者多个路由器， 与接入设备 11相连的路由器可以组成虚拟路由器。 其中接入设备 11通过端口 14 (第一网络端口）与第一路由器 12相连， 通过端口 19 (第二网络端口）与第二 路由器 17相连。 本发明实施例中第一路由器 12可以为主路由器， 能够发送 VRRP 报文， 第二路由器 17可以为备用路由器， 可以接收 VRRP报文。 此外本发明实施 例中， 接入设备上与虚拟路由器连接的端口为侦听端口， 比如图 1中的端口 14和 端口 19。 这里的虚拟路由器是指在组网时， 将与接入设备 11相连的一部分或者 全部路由器组成虚拟路由器； 与用户设备连接的端口叫做非侦听端口， 比如端 口 16。
本发明一个实施例提供一种报文处理方法， 所提供的方法能避免从侦听端 口收到的 ¥111^>¾文向用户端口转发。
图 2为本发明一个实施例提供的报文处理方法的流程示意图， 该报文处理方 法包括：
步驟 101、 接入设备通过第一网络端口接收来自网络侧的多播报文； 这里的多播 文包括目的地址为组播组地址的组播4艮文和目的地址没有指 向特定用户的广播 文， 可以是 VRRP>¾文、 地址解析协议（Addres s Resolut ion Protoco l ; 简称： ARP )才艮文、 TCP/IP报文、 用户数据包协议（User Datagram Protocol ; 简称： UDP )报文以及因特网组管理协议（ Internet Group Management Protocol ; 简称： IGMP )报文等。
步驟 103、 所述接入设备识别所述多播报文的协议类型是否为 VRRP报文， 如 果为 VRRP>¾文， 则执行步驟 105 , 如果为非 VRRP>¾文， 则执行步驟 107;
步驟 105、 接入设备根据侦听端口列表将收到的 VRRP报文通过第二网络端口 发送给网络侧以便该报文能够到达第二路由器；
侦听端口列表中记录有接入设备上的侦听端口的端口信息， 包括端口标识、 端口在接入设备上的框位、 端口在接入设备上的槽位等信息中的一种或多种。
这里的第二网络端口可以是一个或多个侦听端口， 接入设备收到 ¥1110^艮文 后， 向侦听端口列表中其它侦听端口广播该 VRRP报文。
如果接收 VPPR报文的端口为非侦听端口 , 即当接收 VRRP报文的端口不在侦 听端口列表中时， 接入设备可以将该 VRRP报文丢弃。
步驟 107、 接入设备将非 VRRP报文的多播报文通过用户端口发送给用户侧。 当所述多播报文为非 VRRP报文时， 接入设备则将该多播报文向用户端口广 播。 这里的非 VRRP报文可以是 ARP报文、 TCP/IP报文、 UDP报文以及 IGMP报文等。
本实施例中的侦听端口列表可以预先保存， 还可以根据连接状态实时更新。 在步驟 105中， 第一网络端口也可以直接向第二网络端口转发 VRRP报文， 然 后第二网络端口再将 VRRP报文发送给第二路由器。
此外， 为了防止侦听端口例如： 第一网絡端口和第二网絡端口之间广播下 行业务报文， 还可以在侦听端口之间设置隔离， 比如， 将侦听端口设置为禁止 自动转发业务报文等， 这样， 侦听端口收到 VRRP报文后， 不会直接发送给另一 个侦听端口 , 而是通过接入设备的侦听端口在多台路由器之间转发 VRRP报文， 从而避免接入设备不能刷新二层转发表项 , 无法进行二层 MAC地址自学习而导致 的广播风暴。
本实施例接入设备的第一网络端口接收来自网络侧的 VRRP报文， 如果第一 网络端口是侦听端口， 则根据侦听端口列表将 VRRP报文通过第二网络端口发送 上层网络， 可以防止接入设备将 VRRP报文向所有用户广播， 节约网络带宽； 而 且还可以防止 VRRP>¾文被用户侦听到， 而构造优先级高的 VRRP>¾文对路由器进 行攻击， 增强网络安全性， 保证业务的正常运行。 此外， 通过禁止侦听端口之 间自动转发业务报文， 可以在接入设备无法进行二层 MAC地址自学习时防止产生 广播风暴； 并且在接入设备的上行的侦听端口不能二层互通时， 可以使多台路 由器之间正常运行 VRRP协议。
本发明另一个实施例中 , 接入设备通过第一网络端口接收到 VRRP报文后 , 还可以对原转发表项进行处理。 图 3为本发明另一个实施例提供的报文处理方法 中接入设备对原转发记录表的处理的流程图， 包括：
步驟 201、 对接收到的 VRRP报文进行分析， 得到分析结果；
其中， 分析结果包括虚拟路由器 IP、 虚拟路由器介质访问控制地址、 虚拟 局域网标识和接收到所述虚拟路由冗余协议报文的端口的信息。
分析结果可用分析表项表示， 也就是说将一条 VRRP报文的分析结果作为一 个表项记录在分析表中；
步驟 203、 判断所述分析结果与原转发表记录的内容是否一致， 若一致， 则 维持所述原转发表记录的内容； 若不一致， 则执行步骤 205。
步驟 205、 根据所述分析结果更新原转发表记录的转发表项， 转发表项包括 二层转发表项和三层转发表项。
具体的， 接入设备根据虚拟路由器 IP、 虚拟路由器介质访问控制地址 MAC、 虚拟局域网标识 VLAN和接收到所述 VRRP报文的端口的信息更新二层转发表项， 并根据所述虚拟路由器 MAC、 VLAN和接收到所述 VRRP报文的端口的信息更新三层 转发表项， 这里的二层转发表项可以是二层 MAC地址表的转发表项， 三层转发表 项可以是三层 ARP表的表项。
进一步地， 若接入设备同时接收到所述虚拟路由冗余协议报文和地址解析 协议报文， 则优先根据所述地址解析协议报文更新所述原转发表记录的内容。
本发明实施例接入设备同时接收到 VRRP报文和 ARP>¾文时， 可以优先根据 ARP报文更新原转发记录表， 在没有接收到 ARP报文， 也可以根据接收到 VRRP报 文更新原转发记录表， 保证了三层转发表项的更新， 从而保证接入设备的侦听 端口连接的第一路由器的实时性， 可以将上行业务报文转发到最新的主路由器； 由于 VRRP报文比 ARP报文的间隔时间短很多， 可以减少业务中断时间， 保证业务 正常运行， 减少虚拟路由器 MAC地址的数据包的丢包率； 在多台路由器进行 VRRP 负载分担组网时， 可以防止由于接入设备不能自学习二层 MAC地址表项导致的广 播风暴， 节约带宽资源。
本发明一个实施例提供一种接入设备， 图 4为本发明一个实施例提供的接入 设备的结构示意图， 接入设备 40可以包括： 至少两个网络端口， 用于连接网络 侧设备； 用户端口， 用于连接用户终端。
具体地， 接入设备 40可以包括： 第一网络端口 31、 识别单元 34、 处理单元 32和第二网络端口 33。
第一网络端口 31 , 用于接收来自网络侧的多播报文； 识别单元 34 , 用于识别所述多播 >¾文的协议类型；
处理单元 32 , 用于在所述多播报文为虚拟路由冗余协议报文时， 根据侦听 端口列表将所述虚拟路由冗余协议报文通过第二网络端口 33发送到网络侧； 在 所述多播报文为非虚拟路由冗余协议报文时 , 将所述非虚拟路由冗余协议报文 通过用户端口发送到用户侧； 其中， 所述侦听端口列表记录有包括第一网络端 口 31和第二网络端口 33的端口信息。
本实施例中的第一网络端口 31可以连接主路由器， 第二网络端口 33可以连 接备用路由器。
处理单元 32还用于对接收到的所述虚拟路由冗余协议报文进行分析， 得到 分析表项， 判断所述分析表项与原转发表记录的内容是否一致， 若一致， 则维 持所述原转发表记录的内容； 若不一致， 则根据所述分析表项， 对原转发表记 录的内容进行更新。
处理单元 32还用于在所述多播 文为地址解析协议 文时， 根据所述地址 解析协议报文更新原转发表记录的内容。
本实施例接入设备接收来自第一路由器的 VRRP报文后 , 可以根据侦听端口 列表将 VRRP报文转发到其它的侦听端口， 可以防止接入设备将 VRRP报文向所有 用户广播， 节省网络带宽； 而且可以防止 VRRP报文被用户侦听到， 而构造优先 级高的 VRRP报文对路由器进行攻击， 增强网络安全性， 保证业务的正常运行。
本发明一个实施例提供一种通信系统， 该系统包括接入设备， 接入设备上 设置有第一网絡端口和第二网絡端口；
其中， 接入设备， 用于通过第一网络端口接收网络侧的多播报文； 识别所 述多播报文的协议类型， 如果所述多播报文为 VRRP报文， 则根据侦听端口列表 将所述 VRRP才艮文通过第二网络端口发送到网络侧； 如果所述多播才艮文为非 VRRP 报文， 则将所述非 VRRP报文通过用户端口发送到用户侧， 其中， 所述侦听端口 列表记录有包括第一网络端口和第二网络端口在内的端口信息。 进一步地， 所述接入设备还用于， 若同时接收到 VRRP报文和 ARP报文， 则优 先根据所述 ARP报文更新原转发表记录的内容。 本实施例接入设备接收来自网络侧的 VRRP报文， 通过第二网络端口可以将 VRRP报文转发到网络侧 , 第一网络端口和第二网络端口是侦听端口， 可以防止 接入设备将 VRRP报文向所有用户广播， 节约网络带宽； 进而可以防止 VRRP报文 被用户侦听到， 而构造优先级高的 VRRP报文对路由器进行攻击， 增强网络安全 性， 保证业务的正常运行。 本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步驟可 以通过程序指令相关的硬件来完成， 前述的程序可以存储于一计算机可读取存 储介质中， 该程序在执行时， 执行包括上述方法实施例的步驟； 而前述的存储 介质包括： R0M、 RAM, 磁碟或者光盘等各种可以存储程序代码的介质。 最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对其限 制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通技术人员 应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或者对其 中部分技术特征进行等同替换； 而这些修改或者替换， 并不使相应技术方案的 本质脱离本发明各实施例技术方案的范围。

Claims

权利要求书
1、 一种接入设备上的报文处理方法， 其特征在于， 包括：
接入设备通过所述接入设备的第一网络端口接收网络侧的多播报文； 所述接入设备识别所述多播报文的协议类型；
如果识别到所述多播报文为虚拟路由冗余协议报文， 则根据用于虚拟路由 冗余协议报文转发的侦听端口列表将所述虚拟路由冗余协议报文通过所述接入 设备的第二网络端口发送给网络侧， 其中， 所述侦听端口列表记录有包括第一 网络端口和第二网络端口的端口信息；
如果识别到所述多播报文为非虚拟路由冗余协议报文， 则将所述非虚拟路 由冗余协议^艮文通过所述接入设备的用户端口发送给用户侧。
2、 根据权利要求 1所述的方法， 其特征在于， 如果识别到所述多播报文为 虚拟路由冗余协议 文， 所述方法还包括：
所述接入设备对所述虚拟路由冗余协议报文进行分析， 得到分析结果， 所 述分析结果包含虚拟路由器 IP、 虚拟路由器介质访问控制地址、 虚拟局域网标 识和接收到所述虚拟路由冗余协议报文的端口的信息；
判断所述分析结果与原转发表记录的内容进行匹配； 若不一致， 则根据所 述分析结果， 更新原转发表记录的转发表项。
3、 根据权利要求 2所述的方法， 其特征在于， 所述根据所述分析结果， 更 新原转发表记录的转发表项， 包括：
根据所述分析结果中的虚拟路由器 IP、 虚拟路由器介质访问控制地址、 虚 拟局域网标识和接收到所述虚拟路由冗余协议报文的第一网络端口的信息更新 二层转发表项；
根据所述虚拟路由器介质访问控制地址、 虚拟局域网标识和接收到所述虚 拟路由冗余协议报文的第一网络端口的信息更新三层转发表项。
4、 根据权利要求 2所述的方法， 其特征在于， 所述非虚拟路由冗余协议报 文包括地址解析协议报文， 所述方法还包括：
如果识别到所述多播报文为用于所述解析虚拟路由器 IP的地址解析协议报 文， 所述接入设备根据所述地址解析协议>¾文更新所述原转发表的转发表项。
5、 根据权利要求 2所述的方法， 其特征在于， 接入设备通过所述接入设备 的第一网络端口接收网络侧的多播报文之前还包括：
设置所述第一网络端口为禁止自动转发业务 文端口。
6、 一种接入设备， 其特征在于， 包括：
至少两个网络端口， 用于连接网络侧设备；
用户端口， 用于连接用户终端；
识别单元 , 用于识别从第一网络端口接收的多播报文的协议类型； 处理单元， 用于在所述多播报文为虚拟路由冗余协议报文时， 根据侦听端 口列表将所述虚拟路由冗余协议才艮文通过第二网络端口发送到网络侧； 在所述 多播报文为非虚拟路由冗余协议报文时 , 将所述非虚拟路由冗余协议报文通过 所述用户端口发送到用户侧； 其中， 所述侦听端口列表记录有包括第一网络端 口和第二网络端口的端口信息。
7、 根据权利要求 6所述的接入设备， 其特征在于， 所述处理单元还用于在 所述多播报文为地址解析协议报文时， 根据所述地址解析协议报文更新原转发 表记录的内容。
8、 根据权利要求 7所述的接入设备， 其特征在于， 所述处理单元还用于： 对所述虚拟路由冗余协议报文进行分析， 得到分析结果， 所述分析结果包含虚 拟路由器 IP、 虚拟路由器介质访问控制地址、 虚拟局域网标识和接收到所述虚 拟路由冗余协议报文的端口的信息， 判断所述分析结果与原转发表记录的内容 进行匹配， 若不一致， 则根据所述分析结果， 更新原转发表记录的二层转发表 项和三层转发表项。
9、 一种通信系统， 其特征在于， 包括接入设备， 所述接入设备上设置有第 一网络端口和第二网络端口； 所述接入设备， 用于通过第一网络端口接收网络侧的多播报文； 识别所述 多播报文的协议类型， 如果所述多播报文为虚拟路由冗余协议报文， 则根据侦 听端口列表将所述虚拟路由冗余协议报文通过第二网络端口发送到网络侧； 如 果所述多播 ^艮文为非虚拟路由冗余协议^艮文， 则将所述非虚拟路由冗余协议才艮 文通过用户端口发送到用户侧， 其中， 所述侦听端口列表记录有包括第一网络 端口和第二网络端口在内的端口信息。
10、 根据权利要求 9所述的通信系统， 其特征在于， 所述接入设备还用于， 在所述多播报文为地址解析协议报文时 , 根据所述地址解析协议报文更新原转 发表。
PCT/CN2010/075786 2009-12-18 2010-08-09 报文处理方法、接入设备和通信系统 WO2011072532A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP10836969.5A EP2512075B1 (en) 2009-12-18 2010-08-09 Method, access equipment and communication system for message processing
US13/526,068 US8848708B2 (en) 2009-12-18 2012-06-18 Method, apparatus and system for packet processing

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2009102606299A CN101741742B (zh) 2009-12-18 2009-12-18 报文处理方法、接入设备和通信系统
CN200910260629.9 2009-12-18

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/526,068 Continuation US8848708B2 (en) 2009-12-18 2012-06-18 Method, apparatus and system for packet processing

Publications (1)

Publication Number Publication Date
WO2011072532A1 true WO2011072532A1 (zh) 2011-06-23

Family

ID=42464648

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/075786 WO2011072532A1 (zh) 2009-12-18 2010-08-09 报文处理方法、接入设备和通信系统

Country Status (4)

Country Link
US (1) US8848708B2 (zh)
EP (1) EP2512075B1 (zh)
CN (1) CN101741742B (zh)
WO (1) WO2011072532A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102984067A (zh) * 2011-09-02 2013-03-20 盛科网络（苏州）有限公司 三层下一跳独立于二层转发表的报文处理方法及芯片

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101741742B (zh) * 2009-12-18 2012-01-04 华为技术有限公司 报文处理方法、接入设备和通信系统
CN102158394B (zh) * 2011-01-30 2013-11-20 福建星网锐捷网络有限公司 虚拟路由冗余协议路由器防攻击的方法和接入设备
US9229867B2 (en) * 2011-06-16 2016-01-05 International Business Machines Corporation Shared network response cache
JP5680018B2 (ja) * 2012-05-24 2015-03-04 京セラドキュメントソリューションズ株式会社 情報処理装置および画像形成装置
US9590900B2 (en) * 2012-08-08 2017-03-07 Cisco Technology, Inc. Protocol for supporting gateways with redundant routers in a shared domain
CN104639385B (zh) * 2013-11-13 2019-02-12 中兴通讯股份有限公司 检测l2vpn网络用户侧接口连通性的方法及设备
CN104601465B (zh) * 2015-01-05 2018-05-08 新华三技术有限公司 一种vrrp报文的处理方法和设备
CN105119822A (zh) * 2015-09-08 2015-12-02 烽火通信科技股份有限公司 基于vrrp的备份组管理方法及系统
US10171336B2 (en) * 2015-12-16 2019-01-01 Telefonaktiebolaget Lm Ericsson (Publ) Openflow configured horizontally split hybrid SDN nodes
CN106231533B (zh) * 2016-07-20 2020-01-17 华为技术有限公司 短距离通信的方法和设备
CN106712976B (zh) * 2017-01-06 2020-11-03 上海市共进通信技术有限公司 基于vlan的无线组播的调度系统及方法
US10291433B2 (en) * 2017-07-07 2019-05-14 Juniper Networks, Inc. Signaling multicast information to a redundant multi-homing router for a layer 2 virtual private network
CN109981308B (zh) * 2017-12-27 2022-05-24 北京华为数字技术有限公司 报文传输方法及装置
CN109270832B (zh) 2018-08-30 2022-04-12 阿波罗智能技术(北京)有限公司 无人车控制方法、装置、设备以及存储介质
CN111835684B (zh) * 2019-04-19 2023-01-20 厦门网宿有限公司 一种haproxy设备的网络隔离监控方法及系统
CN111835685B (zh) * 2019-04-19 2022-10-28 厦门网宿有限公司 一种监控Nginx网络隔离空间的运行状态的方法和服务器
CN115913870A (zh) * 2022-12-06 2023-04-04 上海博达通信科技有限公司 一种动态nc的选举方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101009643A (zh) * 2006-12-30 2007-08-01 华为技术有限公司 主备应用方法及系统
CN101035058A (zh) * 2007-04-28 2007-09-12 杭州华三通信技术有限公司 虚拟路由器冗余协议报文传输方法及装置
CN101741742A (zh) * 2009-12-18 2010-06-16 华为技术有限公司 报文处理方法、接入设备和通信系统

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003023444A (ja) * 2001-07-06 2003-01-24 Fujitsu Ltd 仮想ルータを利用した動的な負荷分散システム
CN1208929C (zh) * 2002-06-23 2005-06-29 华为技术有限公司 一种利用虚拟路由器冗余协议实现路由器接口备份的方法
JP4058014B2 (ja) 2004-04-08 2008-03-05 株式会社日立製作所 パケット転送装置
US9491084B2 (en) * 2004-06-17 2016-11-08 Hewlett Packard Enterprise Development Lp Monitoring path connectivity between teamed network resources of a computer system and a core network
US7929420B2 (en) 2006-02-02 2011-04-19 Avaya, Inc. Method and apparatus for learning VRRP backup routers
US8547844B2 (en) 2007-07-10 2013-10-01 Telefonaktiebolaget L M Ericsson (Publ) System and method for balancing IP gateway services
CN101159741B (zh) 2007-11-05 2012-07-04 中兴通讯股份有限公司 用于vrrp装置接入vpn的pe装置和接入方法
CN101159701B (zh) 2007-12-04 2010-06-09 杭州华三通信技术有限公司 基于vrrp的路由器动态分配带宽的方法及系统
US8891358B2 (en) * 2008-10-16 2014-11-18 Hewlett-Packard Development Company, L.P. Method for application broadcast forwarding for routers running redundancy protocols

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101009643A (zh) * 2006-12-30 2007-08-01 华为技术有限公司 主备应用方法及系统
CN101035058A (zh) * 2007-04-28 2007-09-12 杭州华三通信技术有限公司 虚拟路由器冗余协议报文传输方法及装置
CN101741742A (zh) * 2009-12-18 2010-06-16 华为技术有限公司 报文处理方法、接入设备和通信系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102984067A (zh) * 2011-09-02 2013-03-20 盛科网络（苏州）有限公司 三层下一跳独立于二层转发表的报文处理方法及芯片

Also Published As

Publication number Publication date
US20120257623A1 (en) 2012-10-11
US8848708B2 (en) 2014-09-30
EP2512075A4 (en) 2013-01-09
EP2512075A1 (en) 2012-10-17
CN101741742A (zh) 2010-06-16
EP2512075B1 (en) 2014-10-15
CN101741742B (zh) 2012-01-04

Similar Documents

Publication Publication Date Title
WO2011072532A1 (zh) 报文处理方法、接入设备和通信系统
EP3379806B1 (en) Packet processing method, related apparatus and nvo3 network system
US9571382B2 (en) Method, controller, and system for processing data packet
US8144709B2 (en) Method, system and computer processing an IP packet, routing a structured data carrier, preventing broadcast storms, load-balancing and converting a full broadcast IP packet
US8089967B2 (en) Modification of a switching table of an internet protocol switch
US20220078114A1 (en) Method and Apparatus for Providing Service for Traffic Flow
US8135013B2 (en) Internet protocol switch and use of the switch for switching a frame
US10110482B2 (en) Technique for network service availability
US11228558B2 (en) Method and apparatus for isolating transverse communication between terminal devices in intranet
EP2773073B1 (en) Entry generation method, message receiving method, and corresponding device and system
EP3035592B1 (en) Enhanced protocol independent multicast source registration over a reliable transport
US11502962B2 (en) Method, apparatus, and system for implementing data transmission
US20140215047A1 (en) Packet Learning Method, Apparatus, and System
WO2009082905A1 (fr) Procédé système et dispositif commutateur permettant l'établissement dynamique de réseau local virtuel de multidiffusion
US10587508B2 (en) Ethernet frame transmission method in software defined networks (SDN)
US11601335B2 (en) Methods and systems for neighbor-acknowledged graceful insertion/removal protocol
WO2022021818A1 (zh) 数据报文的处理方法及装置、存储介质、电子装置
WO2007059679A1 (fr) Procede pour le traitement de service multidiffusion anormal et equipement de reseau associe
US20130089092A1 (en) Method for preventing address conflict, and access node
WO2021042674A1 (zh) 一种端口状态的配置方法及网络设备
WO2007104201A1 (fr) Procédé d'acheminement de messages dans un tunnel de services
US9525646B2 (en) Method, device and computer program for selecting a router node in an LLN network
US9025606B2 (en) Method and network node for use in link level communication in a data communications network
WO2015014167A1 (zh) 一种处理原始ip报文的方法和相应装置
CN102388568B (zh) 一种转发方法及转发装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10836969

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010836969

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE